双出口对于保证企业网稳定运行意义重大，为了安全考虑部分用户采用防火墙作为出口网关，利用相关安全策略提高安全性。本实验模拟企业网利用防火墙作为出口，双营运商出口线路使用，默认情况流量负载分担，链路故障时配合ip-link检测自动切换。
实验拓扑说明：AR1 AR2分别模拟两家营运商的接入路由,OSPF区域为营运商网络；Server1模拟互联网服务器；FW1模拟用户接入防火墙。
实验配置：
1. 基础配置。各设备接口配置IP地址，营运商部分配置OSPF协议，使得各链路互通。
PC１PC2配置静态IP
内网交换机采用默认配置，无需特别配置。
AR1配置
sysname AR1
interface GigabitEthernet0/0/0
ip address 1.1.1.254 255.255.255.0
interface GigabitEthernet0/0/1
ip address 12.1.1.1 255.255.255.0
ospf 1
silent-interface GigabitEthernet0/0/0
area 0.0.0.0
network 1.1.1.254 0.0.0.0
network 12.1.1.1 0.0.0.0
AR2配置
sysname AR2
interface GigabitEthernet0/0/0
ip address 2.2.2.254 255.255.255.0
interface GigabitEthernet0/0/1
ip address 13.1.1.1 255.255.255.0
ospf 1
silent-interface GigabitEthernet0/0/0
area 0.0.0.0
network 2.2.2.254 0.0.0.0
network 13.1.1.1 0.0.0.0
AR3配置
sysname AR3
interface GigabitEthernet0/0/0
ip address 12.1.1.2 255.255.255.0
interface GigabitEthernet0/0/1
ip address 13.1.1.2 255.255.255.0
interface GigabitEthernet0/0/2
ip address 8.8.8.254 255.255.255.0
ospf 1
silent-interface GigabitEthernet0/0/2
area 0.0.0.0
network 8.8.8.254 0.0.0.0
network 12.1.1.2 0.0.0.0
network 13.1.1.2 0.0.0.0
Server1配置静态地址
2.出口防火墙配置
防火墙各接口IP地址配置，并加入相应的区域，两个出口自定义两个区域。
system-view
sysname FW1
interface GigabitEthernet1/0/0
ip address 10.1.1.1 255.255.255.0
interface GigabitEthernet1/0/1
ip address 1.1.1.1 255.255.255.0
interface GigabitEthernet1/0/2
ip address 2.2.2.2 255.255.255.0
firewall zone trust
add interface GigabitEthernet1/0/0
firewall zone name isp1
set priority 10
add interface GigabitEthernet1/0/1
firewall zone name isp2
set priority 20
add interface GigabitEthernet1/0/2
//ISP1 ISP2两个区域对应两条出口链路
ip-link check enable
//开始ip-link检测能力
//ip-link每隔3s发送一个ICMP包，当对端5次没有回应时，判断为链路故障，
//知更新路由表
//即使故障，ip-link也会不停发送ICMP包，当回应时，ip-link通知路由表，恢复之
//前的最优路径
ip-link name tr-isp1
destination 12.1.1.2 interface GigabitEthernet1/0/1 mode icmp next-hop 1.1.1.254
ip-link name tr-isp2
destination 13.1.1.2 interface GigabitEthernet1/0/2 mode icmp next-hop 2.2.2.254
//配置ip-link检测两条链路的远端地址
ip route-static 0.0.0.0 0.0.0.0 1.1.1.254 track ip-link tr-isp1
ip route-static 0.0.0.0 0.0.0.0 2.2.2.254 track ip-link tr-isp2
//配置静态路由与ip-link联动
nat-policy
rule name isp1
source-zone trust
destination-zone isp1
source-address 10.1.1.0 mask 255.255.255.0
service http
service icmp
action source-nat easy-ip
rule name isp2
source-zone trust
destination-zone isp2
source-address 10.1.1.0 mask 255.255.255.0
service http
service icmp
action source-nat easy-ip
//配置NAT，EASY IP方式，转换内网HTTP和ICMP服务
policy-based-route
rule name isp1 1
ingress-interface GigabitEthernet1/0/0
source-address 10.1.1.100 mask 255.255.255.255
destination-address 8.8.8.8 mask 255.255.255.255
service http
service icmp
track ip-link tr-isp1
action pbr egress-interface GigabitEthernet1/0/1 next-hop 1.1.1.254
rule name isp2 2
ingress-interface GigabitEthernet1/0/0
source-address 10.1.1.200 mask 255.255.255.255
destination-address 8.8.8.8 mask 255.255.255.255
service http
service icmp
track ip-link tr-isp2
action pbr egress-interface GigabitEthernet1/0/2 next-hop 2.2.2.254
//配置策略路由，跟踪ip-link检测结果
security-policy
default action permit
//配置安全策略，实际根据需要放行相应条目，实验中选择全部放行
icmp ttl-exceeded send
// 配置防火墙允许tracert 回显,显示相应的返回信息，便于观察现象
3.实验结果测试
配置完成后，查看FW1的路由表，有两条默认路由；可以看到PC1 PC2访问互联网Server，分别通过两个ISP链路。
模拟ISP1远端故障，关闭AR3的G0/0/0接口，FW1的默认路由只剩一条
在PC1上测试连接Server1，访问实际通过ISP2链路，PC2访问则无变化
重新将AR3的g0/0/0接口恢复，PC1恢复ISP1访问链路。
模拟ISP2远端链路故障现象类似，不再重复。
至此，实验成功。
本实验环境为华为ENSP模拟器。